電子銀行安全評估指引

1、1電子銀行安全評估指引電子銀行安全評估指引（征求意見稿）（征求意見稿）第一章第一章總則總則第一條第一條為促進電子銀行業(yè)務的健康發(fā)展，保證電子銀行業(yè)務安全性評估的客觀性、及時性、全面性和有效性，依據(jù)《中華人民共和國銀行業(yè)監(jiān)督管理法》、《中華人民共和國金融機構法》等法律法規(guī)和《電子銀行業(yè)務管理辦法》等監(jiān)管規(guī)章，制定本指引。第二條第二條電子銀行的安全評估，是指對開展電子銀行業(yè)務的金融機構在電子銀行管理過程中的電子銀行安全策略、內控制度、系統(tǒng)安

2、全、客戶保護等方面，進行的安全測試和風險管理能力等的綜合安全考察與評價。第三條第三條在中華人民共和國境內開展電子銀行業(yè)務的金融機構以及利用境內的電子銀行系統(tǒng)向境外提供電子銀行服務的金融機構，都應定期對電子銀行安全進行評估。第四條第四條開展電子銀行業(yè)務的金融機構可以利用外部專業(yè)化的評估機構對電子銀行安全進行評估，也可以利用內部獨立于電子銀行業(yè)務運營管理部門的評估部門進行電子銀行安全評估。第五條第五條金融機構的電子銀行安全評估工作應納入金融

3、機構風險管理的總體框架，由金融機構的風險管理委員會或相關機構直接負責。第六條第六條金融機構的電子銀行安全評估應接受中國銀行業(yè)監(jiān)督管理委員會（以下簡稱中國銀監(jiān)會）的監(jiān)督指導。第二章第二章安全評估機構安全評估機構第七條第七條承擔金融機構電子銀行安全評估工作的機構，可以是外部專業(yè)化服務機構，也可以是金融機構內部具備相應條件的相對獨立部門。第八條第八條外部機構從事電子銀行安全評估，應具備以下條件：（一）具有較為完善的開展電子銀行安全評估業(yè)務的管

4、理制度和操作規(guī)程；（二）制定了系統(tǒng)全面的內部評估手冊或評估指導文件，內容應至少包括評估程序、評估方法和依據(jù)、評估標準等；（三）擁有與電子銀行安全評估相關的各類專業(yè)人才，了解國際和中國相關行業(yè)的行業(yè)標準；（四）其他從事電子銀行安全評估應當具備的條件。第九條第九條金融機構內部部門從事電子銀行安全評估，除應具備第八條規(guī)定的有關條件外，還應具備以下條件：（一）從事電子銀行安全評估的部門必須獨立于電子銀行業(yè)務系統(tǒng)開發(fā)部門和運營部門；（二）從事電子

5、銀行安全評估的部門未直接參與過有關電子銀行設備的選購工作。第十條第十條中國銀監(jiān)會負責電子銀行安全評估機構資格認定工作。電子銀行安全評估機構資格認定工作，每年組織一次。電子銀行安全評估機構在從事金融機構電子銀行安全評估業(yè)務之前，應向3第二十條第二十條開展電子銀行業(yè)務的金融機構可以在中國銀監(jiān)會認可的評估機構范圍內，自主選擇安全評估機構，簽訂書面服務協(xié)議。金融機構選擇內部部門作為評估機構時，應由電子銀行運營部門與評估部門簽訂評估責任確定書。第

6、二十一條第二十一條金融機構與評估機構簽訂的服務協(xié)議中，必須含有明確的保密條款和保密責任。第二十二條第二十二條安全評估機構應根據(jù)評估協(xié)議的規(guī)定，認真履行評估職責，真實評估被評估機構電子銀行運營的安全狀況。第三章第三章安全評估的實施安全評估的實施第二十三條第二十三條評估機構在開始電子銀行安全評估之前，應就評估的范圍、重點、時間與要求等問題，與被評估機構進行充分的溝通，制定評估計劃，由雙方簽字認可。第二十四條第二十四條依據(jù)評估計劃，評估機構進

7、場對委托機構的電子銀行安全進行評估。電子銀行安全評估應真實、全面地評價電子銀行系統(tǒng)的安全性。第二十五條第二十五條電子銀行安全評估至少應包括以下內容：（一）安全策略；（二）內控制度建設；（三）風險管理狀況；（四）系統(tǒng)安全性；（五）電子銀行業(yè)務運行連續(xù)性計劃；（六）電子銀行業(yè)務運行應急計劃；（七）電子銀行風險預警體系；（八）其他重要安全環(huán)節(jié)和機制。第二十六條第二十六條電子銀行安全策略的評估，至少應包括以下內容：（一）安全策略制定的流程與合理

8、性；（二）系統(tǒng)設計與開發(fā)的安全策略；（三）系統(tǒng)測試與驗收的安全策略；（四）系統(tǒng)運行與維護的安全策略；（五）系統(tǒng)備份與應急相關策略。評估機構對金融機構安全策略的評估，不僅要評估安全戰(zhàn)略、規(guī)章制度和程序是否存在，還要評估這些制度是否能得到貫徹執(zhí)行，是否能做到及時更新，是否能全面覆蓋電子銀行業(yè)務系統(tǒng)。第二十七條第二十七條電子銀行內控制度的評估，應至少包括以下內容：（一）高級管理層對電子銀行安全的認知能力與水平；（二）安全監(jiān)控機制的建設與運行；